Уязвимость SignDrop в Windows позволяет локальному атакующему повысить права до SYSTEM — максимального системного уровня в ОС. По оценке исследователя Abdelhamid Naceri, под риск могут попадать около 80% установок Windows; для российских компаний это означает, что компрометация обычной учётной записи способна стать отправной точкой для отключения защитных средств и закрепления в инфраструктуре.
О новой проблеме сообщает BleepingComputer. Эксплойт опубликовал специалист по безопасности Abdelhamid Naceri, известный под псевдонимом Nightmare Eclipse. Он назвал технику SignDrop: она использует не классическую ошибку проверки доступа, а логику защитного механизма Microsoft, добавленного в октябре 2025 года для противодействия атакам на драйвер Common Log File System (CLFS).
CLFS — системный компонент Windows, через который приложения и службы работают с журналами. После серии уязвимостей в этом драйвере Microsoft внедрила дополнительную аутентификацию для новых лог-файлов. Именно вокруг создания связанного файла с расширением .cnpf и строится атака. По словам Naceri, на начальном этапе CLFS проверяет права корректно. Но если затем лог-файл откроет привилегированный процесс, механизм можно заставить создать файл аутентификации от имени этого процесса — с правами SYSTEM и с разрешениями исходного файла.
Практическая ценность атаки в том, что привилегированный процесс не обязательно должен быть экзотическим системным сервисом. Исследователь утверждает, что открыть подготовленный файл можно вынудить Windows Defender. В результате запрос на создание файла выглядит для драйверов защиты как штатное действие собственного процесса антивируса. Это потенциально позволяет обойти механизмы самозащиты, включая tamper protection, а затем вмешаться в работу антивируса или EDR.
Здесь особенно неприятен не только итоговый доступ SYSTEM, но и происхождение операции. Многие средства защиты умеют блокировать подозрительные действия внешних процессов: попытки остановить службу, изменить конфигурацию или удалить файлы агента. SignDrop, по описанию автора, использует доверенный контекст самого защитного продукта. Для ядра и драйверов EDR это не похоже на прямую атаку со стороны вредоносного процесса — запрос формально приходит от легитимного антивируса.
Исследователь проверял proof-of-concept на Windows 11 26H2, Windows 11 26H2 Experimental и Windows Server 2025 Experimental. Он предлагает определить риск двумя способами: запустить опубликованный PoC и проверить, появляется ли командная оболочка SYSTEM, либо посмотреть значение параметра реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. Значения 0 и 1, соответствующие режимам обучения и принудительной проверки, Naceri относит к уязвимым конфигурациям.
Готового обходного решения пока нет. Отключение CLFS-митигации не выглядит разумной компенсацией: оно снова открывает дорогу атакам, использующим ошибки повреждения памяти в CLFS. Иными словами, администратору предлагают выбирать не между безопасным и небезопасным режимом, а между известной угрозой повышения привилегий и возвратом ранее закрытого класса атак. До патча Microsoft разумнее усилить мониторинг локального повышения прав, событий вокруг CLFS и неожиданных изменений в компонентах защиты, а также минимизировать число пользователей и сервисов с возможностью запускать код на рабочих станциях и серверах.
Для разработчиков и ИБ-команд это ещё один аргумент не считать антивирус последним рубежом. Если атакующий уже получил исполнение кода на хосте, защита должна строиться слоями: разделение привилегий, контроль приложений, журналирование, изоляция критичных систем и быстрое развёртывание обновлений. Naceri с апреля раскрыл ряд других проблем в Microsoft Defender, BitLocker и компонентах Windows; Microsoft уже исправила часть из них, включая ShieldBreak, RoguePlanet, YellowKey, GreenPlasma и MiniPlasma, но у некоторых опубликованных ошибок патча по-прежнему нет.
Главный вопрос теперь не в том, найдёт ли Microsoft ошибку в реализации проверки прав: сам исследователь подчёркивает, что отдельные проверки работают штатно, а злоупотреблению поддаётся их связка. Уязвимость SignDrop показывает знакомую для Windows проблему: защитная надстройка может расширить поверхность атаки, если доверенный системный процесс можно вовлечь в цепочку действий. Проверить технические детали и опубликованный демонстрационный эксплойт можно в материале .
